安全保障中心

更新时间：2024/07/31 访问次数：246233

一、产品介绍
二、产品详情
三、规则
四、一分钟判断是否与我有关
五、API安全等级
六、安全规范

一、产品介绍

应用通过用户授权调用TOP提供的API可以获取和操作用户、商品、订单等数据，为了防止这些数据泄露和恶意篡改，TOP提供保障应用安全的一系列服务。这些服务包括：授权管理、服务器托管报备、IP白名单设置、缺陷列表、API调用监控和用户授权监控。根据这些服务收集到的数据构建应用的安全指数，统一衡量应用的安全状况。

主要在开放平台后台查看和设置，查看路径：【淘宝开放平台控制台->开发->我的应用->应用管理】。

二、产品详情

1. 授权管理

授权用户会影响您的安全指数，应用面向不同数量的用户群体，对应的安全级别会不同，该设置也是主要影响应用安全等级的因素。

路径：【控制台->开发->我的应用->应用管理->应用设置->授权管理】。

2. 服务器托管报备

主要供开发者设置主机是否托管，也是影响应用安全等级的因素之一。

路径：【控制台->开发->我的应用->应用管理->应用设置->服务器托管报备】，一键点击完成服务器托管报备。

说明：如果您的应用已经使用托管服务器，请点击”确认已托管“按钮。报备成功后，您的应用的安全等级会被提升，并请在IP白名单中设置您的托管服务器的IP地址。如果您的应用未使用托管服务器，请点击下方“取消”按钮。

3. IP白名单设置

IP白名单是您用来调用API的服务器IP，设置后，该AppKey只允许在IP白名单范围内的服务器IP过来调用API，非白名单IP无法调用API，可以防止您的AppKey被其他服务器盗用。比如，即使AppKey 和Secret 被盗，如果盗用者不是从您的服务器IP发起的API调用请求，则会被TOP拒绝。设置IP白名单时，IP最后两位可以使用通配符“*”，比如：74.125.71.10，74.125.71.*，74.125.*.*。

路径：【控制台->开发->我的应用->应用管理->安全中心->IP白名单设置】。

4. 缺陷列表

通过TOP主动监控，帮助ISV发现应用的缺陷，提升应用品质。

路径：【控制台->开发->我的应用->应用管理->安全中心->缺陷列表】。

5. API调用监控

根据应用采取的安全措施，决定应用调用API时访问的范围不同。

路径：【控制台->开发->我的应用->应用管理->报表中心->API调用详情】。

6. 用户授权监控

对应用的授权用户数突增突降进行监控。

路径：【控制台->开发->我的应用->应用管理-->报表中心->授权详情】。

三、规则

1. 应用安全等级计算公式

TOP对于每一个APPKEY，都会认定其应用安全级别，共分为0,1,2,3四级，APPKEY的安全等级，决定了其访问R2、W2 API的授权时长。计算公式如下：

2. 查看应用安全等级

可在【控制台->开发->我的应用->应用管理->概览】中的APP证书管理页面查看：

3. 安全等级说明

为了更加灵活的对淘宝开放平台开放的数据进行安全管控，降低用户数据泄露或者被恶意修改的风险，推出了安全等级的概念。

淘宝开放平台对API（或者API字段）及应用分别打了r1、r2、w1、w2 和 0,1,2,3四种安全级别的标记。与 r1、r2、w1、w2对应的是在access token（session key）颁发时增加了4个过期时间：r1_expires_in、r2_expires_in、w1_expires_in、w2_expires_in。这4个值分别用来表示此access token 调用各级别API（或字段）的有效期,如下:(受安全等级限制的应用有：第三方IT工具、服务商后台系统、店铺模块后台这3类应用；商家后台系统和新业务这类卖家自用型应用暂不受影响。)

安全等级	API级别	正式环境测试	上线运行中	是否可刷新	Refresh刷新时长
3级	R1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	R2	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	W1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	W2	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
2级	R1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	R2	24小时	72小时	是	已上线应用与订购时长一致，正式环境测试24小时有效
	W1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	W2	30分钟	30分钟	否
1级	R1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	R2	24小时	24小时	否
	W1	24小时	同订购时长	是	已上线应用与订购时长一致，正式环境测试24小时有效
	W2	5分钟	5分钟	否
0级	R1	30分钟	30分钟	否
	R2	0分钟	0分钟	否
	W1	30分钟	30分钟	否
	W2	0分钟	0分钟	否

例如一个安全等级为2级的应用，在用户授权后颁发一个session key(access token)，同时会返回4个过期时间：r1_expires_in=2160000（单位秒，下同）、r2_expires_in=259200、w1_expires_in=2160000、w2_expires_in=1800。

这些时长的含义如下：

1）session key颁发后1800秒内，APP可以使用这个session key调用w2级别的API或字段。另外3个过期时间含义相同。

2）session key颁发后超过1800秒，APP不可以再使用这个session key调用w2级别的API或字段。另外3个过期时间含义相同。

3）对于本例来说如果R2级别的授权过期了，可以使用refresh token刷新一下R2的授权时长。刷新后使用新返回的session key(access token)又可以重新调用R2级别的API或字段。

4）对于本例来说如果w2级别的授权过期了，如上表格所示w2级别的授权是不能刷新的。所以APP需要引导用户到授权页面重新授权。

四、一分钟判断是否与我有关

不需要关心的情况

第一种情况：APPKEY的安全等级为1,2，并且访问的API或者字段中没有W2或者R2打标

第二种情况：APPKEY的安全等级为3

需要关心的情况

第一种情况：APPKEY的安全等级为0

第二种情况：APPKEY的安全等级为1,2，并且访问的API或者字段中有W2或者R2打标

五、API安全等级

TOP开放的全部API中，有部分API（或API中的部分字段）由于涉及读取/操作用户敏感性数据。根据API（或API Field）所涉及的私密等级，以及风险的严重程度，将API（或API Field）为为以下等级：

R1：普通用户信息的读操作

R2：敏感用户信息的读操作，例如用户手机号码、详细地址等

W1：普通用户或用户关联信息的写操作，例如商品的一般属性等

W2：高危用户或用户关联信息的写操作，例如商品的价格属性等

安全等级相关内容请参见文档：点击查看。

六、安全规范

为了保证开放平台上应用的安全性，我们制定了详细的应用安全规范，要求所有接入淘宝开放平台的第三方应用必须严格遵守。具体安全规范内容请参见文档：

点击查看。

FAQ

关于此文档暂时还没有FAQ

有用(9) 我要提问

淘宝开放平台

商家经营工具-开发指引